CN109889422A - 结合虚拟化桌面与ssl vpn实现远程放疗计划的方法 - Google Patents

Abstract

本发明公开了一种结合虚拟化桌面与SSL VPN实现远程放疗计划的方法，包括以下步骤：S1、启动PC或笔记本终端中的桌面云客户端，自带VPN SDK认证过程；S2、客户端与服务端建立VPN连接后，打通内网访问隧道；S3、登录云桌面，桌面云控制器会自动拉起虚拟机系统，相当于远程桌面连接；S4、可通过内网云桌面服务器跳转PCAS服务器，或者直接将PCAS服务器改造成虚拟云桌面服务器，终端访问的均是业务图像，所有操作在后端终端服务器，实现数据不落地，降低泄密风险。利用SSL VPN结合虚拟化桌面远程发布的方式，无需对网络系统做过多改造，即可实现远程移动访问特定服务器数据，保证了访问便捷性和数据安全性。

Description

结合虚拟化桌面与SSL VPN实现远程放疗计划的方法

技术领域

本发明涉及医院放疗科治疗计划方法技术领域，具体为一种结合虚拟化桌面与SSL VPN实现远程放疗计划的方法。

背景技术

医院放疗科治疗计划系统(TPS)运行在特殊的服务器上，服务器本身只在内网运行，并不连通外网，但是医护人员经常需要远程办公，访问TPS服务器上的肿瘤靶区、放疗计划等内容，这需要一种高效、便捷的远程访问内网服务器的方法，在严格保证数据访问安全性的同时，又不影响内网TPS服务器的运行。

现有技术手段中，对服务器进行远程访问时需要依赖机房的网络环境，例如服务器需要在同一个外部网络环境下以NAT方式获取一个公网IP地址，通过访问公网IP进行Web访问，或者在网络层进行IPSecVPN隧道连接，远程主机可以完全掌握内网环境，但是这些方法都需要进行网络改造、易受攻击或者有暴露数据的安全性风险，难以满足市场发展的需要，为此，提出一种结合虚拟化桌面与SSL VPN实现远程放疗计划的方法来解决上述问题。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明提供了一种结合虚拟化桌面与SSL VPN 实现远程放疗计划的方法，具备访问便捷以及数据安全性等优点，解决了传统的方法都需要进行网络改造、易受攻击或者有暴露数据的安全性风险的问题。

(二)技术方案

为实现上述访问便捷以及数据安全性的目的，本发明提供如下技术方案：一种虚拟桌面远程应用发布系统，包括终端设备、SSL VPN远程应用发布模块、应用程序发布服务器以及虚拟终端服务器，所述终端设备的输出端双向电连接有应用程序发布服务器，所述SSL VPN远程应用发布模块分别电连接有应用程序发布服务器以及虚拟终端服务器，在部署终端远程办公平台的硬件环境时，需保证SSL VPN设备与应用程序发布服务器互相通信。

进一步优化本技术方案，所述远程应用发布模块内置在SSL VPN设备中，拥有获取应用发布服务器上的资源信息，为终端提供访问，并负责身份认证、传输数据处理工作，是远程应用发布的核心组件。

进一步优化本技术方案，所述SSL VPN远程应用发布模块包括远程应用 Agent以及远程应用Client，所述远程应用Agent：服务端控件，安装在应用发布服务器上，用来提供远程应用服务和监控应用发布服务器状态信息的程序，该程序默认为服务器开启自动启动；所述远程应用Client：客户端控件，安装在终端设备上，提供接入终端服务器的功能。

进一步优化本技术方案，所述应用程序发布服务器：需要发布给移动终端用户使用的应用程序，需要提前在应用发布服务器安装，对于虚拟远程桌面系统，只需要安装Windows虚拟机并支持远程桌面连接。

一种SSL VPN技术连接过程方法，在前述的一种虚拟桌面远程应用发布系统中的SSL VPN设备运用SSL协议，所述SSL协议是一个端到端协议，可分为两层：

SSL记录协议(SSL Record Protocol)：它建立在可靠的传输协议(如 TCP)之上，用于支持为高层协议提供数据封装、压缩以及加密的基本功能；

SSL握手协议(SSL Handshake Protocol)：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法以及交换加密密钥；

SSL握手建立过程方法：

S1、客户端发送一个“ClientHello”消息，内容包括：支持的协议版本，一个客户端生成的随机数，稍后用于生成“会话密钥”，支持的加密算法，以及支持的压缩算法；

S2、然后收到一个“ServerHello”消息，内容包括：确认使用的加密通信协议版本，如果客户端与服务器支持的版本不一致，服务器关闭加密通信，一个服务器生成的随机数，稍后用于生成“对话密钥”，确认使用的加密方法和服务器证书；

S3、当双方知道了连接参数，客户端与服务器交换证书，这里依靠被选择的公钥系统；

S4、服务器请求客户端公钥，客户端有证书即双向身份认证，没证书时随机生成公钥；

S5、客户端与服务器通过公钥保密协商共同的主私钥，通过双方随机协商，通过伪随机数功能实现，结果使用Diffie-Hellman交换，或简化的公钥加密，双方各自用私钥解密，所有其他关键数据的加密均使用这个“主密钥”。

SSL VPN客户端模式连接建立过程方法：

S1、在远程主机启动客户端应用，客户端软件就会与SSL VPN网关建立 SSL连接；

S2、远程主机输入VPN的地址，连接登录SSL VPN网关Web页面；

S3、输入用户名、密码登录，进入VPN网关资源组列表，在资源组列表点击资源组则进入对应的资源列表，在远程桌面连接时VPN网关与内网虚拟云桌面服务器建立TCP连接；

S4、TCP连接建立成功，远程主机发给虚拟云桌面服务器的应用层数据，经由SSL连接转发给VPN网关，VPN网关将应用层数据转发给云桌面服务器；

S5、虚拟云桌面服务器返回的数据同样经由VPN网关的SSL连接返回给客户端。

进一步优化本技术方案，所述数据传输中记录层(Record layer)用于封装更高层的HTTP协议，记录层数据可以被随意压缩、加密，与消息验证码压缩在一起，每个记录层数据包都有一个Content-Type段用以记录更上层用的协议，在SSL通信中，服务器方使用443端口，而客户方的端口是任选的。

一种结合虚拟化桌面与SSL VPN实现远程放疗计划的方法，包括以下步骤：

S1、启动PC或笔记本终端中的桌面云客户端，自带VPN SDK认证过程；

S2、客户端与服务端采用前述的一种SSL VPN技术连接过程方法建立VPN 连接后，打通内网访问隧道；

S3、登录云桌面，桌面云控制器会自动拉起虚拟机系统，相当于远程桌面连接；

S4、可通过内网云桌面服务器跳转PCAS服务器，或者直接将PCAS服务器改造成虚拟云桌面服务器，终端访问的均是业务图像，所有操作在后端终端服务器，实现数据不落地，降低泄密风险。

(三)有益效果

与现有技术相比，本发明提供了一种结合虚拟化桌面与SSL VPN实现远程放疗计划的方法，具备以下有益效果：利用SSL VPN结合虚拟化桌面远程发布的方式，无需对网络系统做过多改造，即可实现远程移动访问特定服务器数据，保证了访问便捷性和数据安全性，在医院放疗科治疗计划系统中具有极大的推广价值。

附图说明

图1为本发明SSL握手建立过程示意图；

图2为本发明SSL VPN客户端模式连接建立过程示意图。

具体实施方式

下面将结合本发明的实施例，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例：

请参照图1-图2，本发明公开了一种虚拟桌面远程应用发布系统，包括终端设备、SSL VPN远程应用发布模块、应用程序发布服务器以及虚拟终端服务器，终端设备的输出端双向电连接有应用程序发布服务器，SSL VPN远程应用发布模块分别电连接有应用程序发布服务器以及虚拟终端服务器，在部署终端远程办公平台的硬件环境时，需保证SSL VPN设备与应用程序发布服务器互相通信。

作为本实施例具体的优化方案：远程应用发布模块内置在SSL VPN设备中，拥有获取应用发布服务器上的资源信息，为终端提供访问，并负责身份认证、传输数据处理等工作，是远程应用发布的核心组件。

作为本实施例具体的优化方案：SSL VPN远程应用发布模块包括远程应用 Agent以及远程应用Client，远程应用Agent：服务端控件，安装在应用发布服务器上，用来提供远程应用服务和监控应用发布服务器状态信息的程序，该程序默认为服务器开启自动启动；远程应用Client：客户端控件，安装在终端设备上，提供接入终端服务器的功能。

作为本实施例具体的优化方案：应用程序发布服务器：需要发布给移动终端用户使用的应用程序，需要提前在应用发布服务器安装，对于虚拟远程桌面系统，只需要安装Windows虚拟机并支持远程桌面连接。

SSL VPN通过SSL协议设置生局域网访问权限，建立身份认证和数据加密以及消息完整性验证等安全访问机制，在应用层于传输层间建立一条安全的通信渠道，在实际应用过程中，SSL VPN技术存在Web浏览器、SSL VPN客户端等工作模式，在Web浏览器工作模式中，用户可以通过SSL协议构建虚拟专用网络，对医院内部网关进行远程访问，可以完全忽略网络配置对远程访问的影响，进而有效减少VPN系统运行时间和工作量，提高VPN管理效率，在SSL VPN客户端工作模式中，可以利用SSL协议客户端实现远程应用服务器的访问，在此过程中客户端和服务器中的加密数据主要靠隧道数据进行传输，进而提高数据传输的稳定性与安全性。目前，SSL VPN广泛应用在基于 Web远程接入领域中，为用户远程访问医院内部网络提供了安全保证。

在SSL VPN连接建立之后，基于HTTPS云桌面高速传输协议(如SRAP，RDP， PCoIP等)，在不同环境中，自动采取不同的传输及压缩策略，大幅提升远程使用虚拟桌面的响应速度。

一种SSL VPN技术连接过程方法，在前述的一种虚拟桌面远程应用发布系统中的SSL VPN设备运用SSL协议，SSL协议是一个端到端协议，可分为两层：

SSL记录协议(SSL Record Protocol)：它建立在可靠的传输协议(如 TCP)之上，用于支持为高层协议提供数据封装、压缩、加密等基本功能；

SSL握手协议(SSL Handshake Protocol)：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法以及交换加密密钥等；

SSL握手建立过程方法：

S1、客户端发送一个“ClientHello”消息，内容包括：支持的协议版本，一个客户端生成的随机数，稍后用于生成“会话密钥”，支持的加密算法，例如：如RSA公钥加密，以及支持的压缩算法；

S2、然后收到一个“ServerHello”消息，内容包括：确认使用的加密通信协议版本，如果客户端与服务器支持的版本不一致，服务器关闭加密通信，一个服务器生成的随机数，稍后用于生成“对话密钥”，确认使用的加密方法 (例如：RSA公钥加密)和服务器证书；

S3、当双方知道了连接参数，客户端与服务器交换证书，这里依靠被选择的公钥系统；

S4、服务器请求客户端公钥，客户端有证书即双向身份认证，没证书时随机生成公钥；

S5、客户端与服务器通过公钥保密协商共同的主私钥，通过双方随机协商，通过伪随机数功能实现，结果使用Diffie-Hellman交换，或简化的公钥加密，双方各自用私钥解密，所有其他关键数据的加密均使用这个“主密钥”，具体参照图1。

SSL VPN客户端模式连接建立过程方法：

S1、在远程主机启动客户端应用，客户端软件就会与SSL VPN网关建立 SSL连接；

S2、远程主机输入VPN的地址，连接登录SSL VPN网关Web页面；

S3、输入用户名、密码登录，进入VPN网关资源组列表，在资源组列表点击资源组则进入对应的资源列表，在远程桌面连接时VPN网关与内网虚拟云桌面服务器建立TCP连接；

S4、TCP连接建立成功，远程主机发给虚拟云桌面服务器的应用层数据，经由SSL连接转发给VPN网关，VPN网关将应用层数据转发给云桌面服务器；

S5、虚拟云桌面服务器返回的数据同样经由VPN网关的SSL连接返回给客户端，具体参照图2。

作为本实施例具体的优化方案：数据传输中记录层(Record layer)用于封装更高层的HTTP等协议，记录层数据可以被随意压缩、加密，与消息验证码压缩在一起，每个记录层数据包都有一个Content-Type段用以记录更上层用的协议，在SSL通信中，服务器方使用443端口，而客户方的端口是任选的。

一种结合虚拟化桌面与SSL VPN实现远程放疗计划的方法，包括以下步骤：

S1、启动PC或笔记本终端中的桌面云客户端，自带VPN SDK认证过程；

S2、客户端与服务端采用前述的一种SSL VPN技术连接过程方法建立VPN 连接后，打通内网访问隧道；

S3、登录云桌面，桌面云控制器会自动拉起虚拟机系统，相当于远程桌面连接；

S4、可通过内网云桌面服务器跳转PCAS服务器，或者直接将PCAS服务器改造成虚拟云桌面服务器，终端访问的均是业务图像，所有操作在后端终端服务器，实现数据不落地，降低泄密风险。

本发明的有益效果是：利用SSL VPN结合虚拟化桌面远程发布的方式，无需对网络系统做过多改造，即可实现远程移动访问特定服务器数据，保证了访问便捷性和数据安全性，在医院放疗科治疗计划系统中具有极大的推广价值。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (7)

1.一种虚拟桌面远程应用发布系统，其特征在于，包括终端设备、SSL VPN远程应用发布模块、应用程序发布服务器以及虚拟终端服务器，所述终端设备的输出端双向电连接有应用程序发布服务器，所述SSL VPN远程应用发布模块分别电连接有应用程序发布服务器以及虚拟终端服务器，在部署终端远程办公平台的硬件环境时，需保证SSL VPN设备与应用程序发布服务器互相通信。

2.根据权利要求1所述的一种虚拟桌面远程应用发布系统，其特征在于，所述远程应用发布模块内置在SSL VPN设备中，拥有获取应用发布服务器上的资源信息，为终端提供访问，并负责身份认证、传输数据处理工作，是远程应用发布的核心组件。

3.根据权利要求1所述的一种虚拟桌面远程应用发布系统，其特征在于，所述SSL VPN远程应用发布模块包括远程应用Agent以及远程应用Client，所述远程应用Agent：服务端控件，安装在应用发布服务器上，用来提供远程应用服务和监控应用发布服务器状态信息的程序，该程序默认为服务器开启自动启动；所述远程应用Client：客户端控件，安装在终端设备上，提供接入终端服务器的功能。

4.根据权利要求1所述的一种虚拟桌面远程应用发布系统，其特征在于，所述应用程序发布服务器：需要发布给移动终端用户使用的应用程序，需要提前在应用发布服务器安装，对于虚拟远程桌面系统，只需要安装Windows虚拟机并支持远程桌面连接。

5.一种SSL VPN技术连接过程方法，其特征在于，在权利要求1-4任意一项所述的一种虚拟桌面远程应用发布系统中的SSL VPN设备运用SSL协议，所述SSL协议是一个端到端协议，可分为两层：

SSL记录协议：它建立在可靠的传输协议之上，用于支持为高层协议提供数据封装、压缩以及加密的基本功能；

SSL握手协议：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法以及交换加密密钥；

SSL握手建立过程方法：

S1、客户端发送一个“ClientHello”消息，内容包括：支持的协议版本，一个客户端生成的随机数，稍后用于生成“会话密钥”，支持的加密算法，以及支持的压缩算法；

S2、然后收到一个“ServerHello”消息，内容包括：确认使用的加密通信协议版本，如果客户端与服务器支持的版本不一致，服务器关闭加密通信，一个服务器生成的随机数，稍后用于生成“对话密钥”，确认使用的加密方法和服务器证书；

S3、当双方知道了连接参数，客户端与服务器交换证书，这里依靠被选择的公钥系统；

S4、服务器请求客户端公钥，客户端有证书即双向身份认证，没证书时随机生成公钥；

S5、客户端与服务器通过公钥保密协商共同的主私钥，通过双方随机协商，通过伪随机数功能实现，结果使用Diffie-Hellman交换，或简化的公钥加密，双方各自用私钥解密，所有其他关键数据的加密均使用这个“主密钥”；

SSL VPN客户端模式连接建立过程方法：

S1、在远程主机启动客户端应用，客户端软件就会与SSL VPN网关建立SSL连接；

S2、远程主机输入VPN的地址，连接登录SSL VPN网关Web页面；

S3、输入用户名、密码登录，进入VPN网关资源组列表，在资源组列表点击资源组则进入对应的资源列表，在远程桌面连接时VPN网关与内网虚拟云桌面服务器建立TCP连接；

S4、TCP连接建立成功，远程主机发给虚拟云桌面服务器的应用层数据，经由SSL连接转发给VPN网关，VPN网关将应用层数据转发给云桌面服务器；

S5、虚拟云桌面服务器返回的数据同样经由VPN网关的SSL连接返回给客户端。

6.根据权利要求5所述的一种SSL VPN技术连接过程方法，其特征在于，所述数据传输中记录层用于封装更高层的HTTP协议，记录层数据可以被随意压缩、加密，与消息验证码压缩在一起，每个记录层数据包都有一个Content-Type段用以记录更上层用的协议，在SSL通信中，服务器方使用443端口，而客户方的端口是任选的。

7.一种结合虚拟化桌面与SSL VPN实现远程放疗计划的方法，其特征在于，包括以下步骤：

S1、启动PC或笔记本终端中的桌面云客户端，自带VPN SDK认证过程；

S2、客户端与服务端采用权利要求5-6任意一项所述的一种SSL VPN技术连接过程方法建立VPN连接后，打通内网访问隧道；

S3、登录云桌面，桌面云控制器会自动拉起虚拟机系统，相当于远程桌面连接；

S4、可通过内网云桌面服务器跳转PCAS服务器，或者直接将PCAS服务器改造成虚拟云桌面服务器，终端访问的均是业务图像，所有操作在后端终端服务器，实现数据不落地，降低泄密风险。